La empresa de seguridad Wiz Research reveló un conjunto de vulnerabilidades críticas en el motor PHP central el 21 de octubre de 2026, advirtiendo que las fallas, denominadas colectivamente PHP2Shell, permiten la ejecución remota de código no autenticado y la divulgación de memoria estilo Heartbleed en el software que impulsa aproximadamente el 70 por ciento de todos los sitios web. El proyecto PHP lanzó parches el mismo día y Wiz insta a actualizaciones inmediatas en toda la enorme base instalada de la web.

PHP es la columna vertebral de gran parte de Internet: impulsa WordPress, Joomla, Drupal y MediaWiki, el software que ejecuta Wikipedia. Fundamentalmente, los errores recientemente revelados residen en el motor central de PHP, no en ninguna aplicación construida sobre él, lo que significa que los sitios pueden quedar expuestos incluso cuando el código de su propia aplicación es seguro. Para más contexto sobre esta historia, consulta nuestra cobertura de la industria de IA.

¿Cuáles son las vulnerabilidades?

Según el artículo técnico de Wiz realizado por los investigadores Sagi Tzadik, Shir Tamari, Nir Ohfeld y Tomer Schwartz, todos los errores revelados son problemas de seguridad de la memoria basados en cómo PHP maneja errores fatales durante el procesamiento de solicitudes, particularmente errores de falta de memoria. Una solicitud fallida puede dejar atrás un estado interno de PHP corrupto, y una solicitud posterior o un trabajador que reutilice ese estado obsoleto puede desencadenar la divulgación o corrupción de la memoria.

Los hallazgos se agruparon en dos CVE con una gravedad máxima de CVSS 9,2:

  • CVE-2026-109618: un deserializador de progreso de carga de uso posterior que un atacante puede aprovechar para la divulgación remota de la memoria del proceso y, en cadenas demostradas, la ejecución remota completa del código. Wiz demostró la divulgación no autenticada de la memoria de trabajo de PHP y la autenticación previa de RCE en WordPress, Drupal y Joomla.
  • CVE-2026-109619: un error fatal de rastreo de uso después de la liberación combinado con una confusión de tipos de OPcache, que también demostró producir una ejecución remota de código de autenticación previa en Drupal y WordPress.

La memoria que los atacantes pueden leer puede contener contraseñas, tokens de autenticación, claves API y certificados pertenecientes a otras solicitudes o al propio servidor, dijo Wiz. Cada versión de PHP lanzada en la última década (desde PHP 5.4) se ve afectada por al menos una de las vulnerabilidades, y la compañía dice que se encuentran entre las fallas más graves jamás encontradas en PHP.

Dónde entra la IA

La afirmación más trascendental del informe de Wiz no se refiere en absoluto a PHP, sino a lo que los modelos de IA de vanguardia han hecho para explotar el desarrollo.

Los defectos subyacentes, escribe Wiz, habían estado presentes durante décadas, pero demostrar la explotabilidad requirió "una cadena de pasos excepcionalmente compleja, al borde de lo que los investigadores humanos podrían lograr prácticamente". El exploit tuvo que encadenar múltiples fallas y adaptarse al diseño de la memoria de cada objetivo mediante pruebas y depuraciones repetidas.

Los modelos de Frontier AI, dice la compañía, redujeron sustancialmente esa barrera - "convirtiendo una falla de larga data en un exploit" - y permitieron al equipo de Wiz desarrollar y adaptar exploits funcionales en múltiples aplicaciones en horas en lugar de semanas.

"A medida que disminuyen el tiempo y la experiencia necesarios para este trabajo, es posible que la complejidad ya no proporcione una barrera significativa, cambiando la forma en que definimos lo que es vulnerable en la práctica", escribieron los investigadores.

¿Un punto de inflexión en la era de la IA?

Wiz enmarca explícitamente PHP2Shell junto con dos momentos decisivos anteriores en la seguridad web: Heartbleed en 2014, que expuso la fragilidad de la infraestructura compartida que protege Internet, y Log4Shell en 2021, que reveló cómo las dependencias de software profundamente integradas crean una exposición generalizada. La compañía sostiene que PHP2Shell podría marcar un punto de inflexión similar, esta vez ilustrando cómo la IA cambia la explotabilidad práctica de debilidades conocidas desde hace mucho tiempo.

Ese marco importa más allá de PHP. Las vulnerabilidades teóricas que estaban fuera de su alcance porque explotarlas era demasiado difícil, demasiado lento o demasiado especializado ahora pueden estar al alcance de atacantes con buenos recursos y armados con herramientas de inteligencia artificial, un cambio con implicaciones obvias para los presupuestos de defensa, las cadencias de parches y los cronogramas de divulgación en toda la industria del software.

Una solución coordinada entre industrias

La divulgación fue coordinada. Wiz agradeció al equipo de PHP y a OpenAI por su trabajo en el descubrimiento, la coordinación y la verificación de parches, y señaló que tanto OpenAI como PHP publicaron sus propios artículos técnicos sobre el historial y el proceso de divulgación de la vulnerabilidad.

Un grupo intersectorial, que incluye a Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft y Vercel, preparó orientación y mitigaciones listas para usar para los clientes que no pueden aplicar parches de inmediato. Cloudflare anunció por separado el 21 de octubre que ha implementado protecciones WAF contra las vulnerabilidades de PHP para sus clientes.

Qué deben hacer los propietarios de sitios

El consejo de Wiz es contundente: parchear inmediatamente. El proyecto PHP publicó correcciones para las vulnerabilidades de seguridad de la memoria el 21 de octubre de 2026, y todas las implementaciones de PHP compatibles deberían actualizarse lo antes posible.

Las organizaciones que no pueden aplicar parches de inmediato deben aplicar las mitigaciones publicadas por sus proveedores de CDN, hosting o WAF, varios de los cuales incluyeron reglas dirigidas a las cadenas de exploits desde el primer día. Los administradores de flotas de WordPress, Drupal y Joomla deberían tratar esto como un ciclo de parches prioritario: Wiz demostró la ejecución remota de código de autenticación previa en las tres plataformas, y las rutas de código vulnerables existen independientemente de qué tan bien mantenidas estén las aplicaciones sobre ellas.

La lección más profunda puede ser la que el propio Wiz aprendió: cuando la IA puede comprimir meses de ingeniería de exploits en horas, la definición funcional de la industria de "prácticamente explotable" (y con ella, el significado de los cronogramas de parches responsables) acaba de cambiar.

---

Mantente al Día con la IA

Las últimas noticias, análisis y avances de inteligencia artificial, en un solo lugar.

Leer más noticias de IA →